(57)【要約】【課題】  攻撃パケット進入中継装置特定システムにおいて、攻撃パケット発信源装置を特定するために必要なメッセージ数を削除する。【解決手段】  攻撃パケット進入中継装置特定装置４０は攻撃パケット検出装置５０から攻撃パケット発信源追跡要求メッセージを受信すると、発信源装置間距離測定装置１１１に、攻撃パケットが疎通した基点装置と該攻撃パケットの発信源の装置との距離である発信源装置間距離を問い合わせる。発信源装置間距離応答メッセージを受信すると、攻撃パケットの進入方向を特定し、基点装置から該進入方向に対し発信源装置間距離に基づく最短パスを構成し、最短パス上にあって、基点装置からの距離が発信源装置間距離に等しく、かつそのうちユーザを直接収容している中継装置または基点装置からの距離が発信源装置間距離以下、かつ外部ネットワークを直接収容している中継装置を攻撃パケットが進入した装置と特定する。【選択図】  図１
2006101207.tif 000002
【特許請求の範囲】
【請求項１】
攻撃パケットを検出する装置を有するネットワークにおいて、
各中継装置に接続され、攻撃パケットが疎通した中継装置である基点装置と該攻撃パケットの発信源の装置との距離である発信源装置間距離を算出する発信源装置間距離測定装置と、
前記基点装置からの距離が前記発信源装置間距離以下である中継装置を特定する攻撃パケット進入中継装置特定装置を有することを特徴とする攻撃パケット進入中継装置特定システム。
【請求項２】
前記攻撃パケット進入中継装置特定装置は、ユーザを直接収容している中継装置を特定する手段を有する、請求項１に記載の攻撃パケット進入中継装置特定システム。
【請求項３】
前記攻撃パケット進入中継装置特定装置は、特定された中継装置の中から、ユーザからの攻撃パケットが進入した中継装置を特定する手段を有する、請求項２に記載の攻撃パケット進入中継装置特定システム。
【請求項４】
前記攻撃パケット進入中継装置特定装置は、前記基点装置からの距離が発信源距離以下であり、外部のネットワークを収容する中継装置を特定する手段を有する、請求項１に記載の攻撃パケット進入中継装置特定システム。
【請求項５】
前記攻撃パケット進入中継装置特定装置は、特定された中継装置の中から、前記外部ネットワークからの攻撃パケットが進入した中継装置を特定する手段を有する、請求項４に記載の攻撃パケット進入中継装置特定システム。
【請求項６】
前記攻撃パケット進入中継装置特定装置は、
前記基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し前記発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離と等しい中継装置を特定する手段と、
該特定された中継装置の中から、ユーザを直接収容している中継装置を特定する手段と、
該特定された、ユーザを直接収容している中継装置の中から、攻撃パケットが進入した中継装置を特定する手段を有する、
請求項１に記載の攻撃パケット進入中継装置特定システム。
【請求項７】
前記攻撃パケット進入中継装置特定装置は、
前記基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離以下であり、外部のネットワークを収容する中継装置を特定する手段と、
該特定された中継装置の中から、外部ネットワークからの攻撃パケットが進入した中継装置を特定する手段と、
を有する、請求項１に記載の攻撃パケット進入中継装置特定システム。
【請求項８】
前記攻撃パケット進入中継装置特定装置は、
前記基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離に規定値を減算した値と規定値を加算した値の範囲内にある中継装置を特定する手段と、
該特定された中継装置の中から、ユーザを直接収容している中継装置を特定する手段と、
該特定された、ユーザを直接収容している中継装置の中から、攻撃パケットが進入した中継装置を特定する手段と、
を有する、請求項１に記載の攻撃パケット進入中継装置特定システム。
【請求項９】
前記攻撃パケット進入中継装置特定装置は、
前記基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離に規定値を加算した値以下であり、外部のネットワークを収容する中継装置を特定する手段と、
該特定された中継装置の中から、外部ネットワークからの攻撃パケットが進入した中継装置を特定する手段と、
を有する、請求項１に記載の攻撃パケット進入中継装置特定システム。
【請求項１０】
攻撃パケットが疎通した装置である基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記基点装置と前記攻撃パケットの発信源の装置との距離である発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が、前記発信源装置間距離と等しい中継装置を特定する手段と、
該特定された中継装置の中から、ユーザを直接収容している中継装置を特定する装置と、
該特定された、ユーザを直接収容している中継装置の中から、攻撃パケットが進入した中継装置を特定する手段を有する、
攻撃パケット進入中継装置特定装置。
【請求項１１】
攻撃パケットが疎通した装置である基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記基点装置と前記攻撃パケットの発信源の装置との距離である発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離以下であり、外部のネットワークを収容する中継装置を特定する手段と、
該特定された中継装置の中から、外部ネットワークからの攻撃パケットが進入した中継装置を特定する手段と、
を有する攻撃パケット進入中継装置特定装置。
【請求項１２】
攻撃パケットが疎通した装置である基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記基点装置と前記攻撃パケットの発信源の装置との距離である発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離に規定値を減算した値と規定値を加算した値の範囲内にある中継装置を特定する手段と、
該特定された中継装置の中から、ユーザを直接収容している中継装置を特定する手段と、
該特定された、ユーザを直接収容している中継装置の中から、攻撃パケットが進入した中継装置を特定する手段と、
を有する攻撃パケット進入中継装置特定装置。
【請求項１３】
攻撃パケットが疎通した基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し、前記基点装置と前記攻撃パケットの発信源の装置との距離である発信源装置間距離の次元に基づく最短パスを構成する手段と、
該最短パス上にあり、前記基点装置からの距離が前記発信源装置間距離に規定値を加算した値以下であり、外部のネットワークを収容する中継装置を特定する手段と、
該特定された中継装置の中から、外部ネットワークからの攻撃パケットが進入した中継装置を特定する手段と、
を有する攻撃パケット進入中継装置特定装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、送信元アドレスが詐称されている攻撃パケットにおいて、各観測点での攻撃パケットの発信源からの距離をもとにその攻撃パケットのインターネットへの進入位置を特定するシステムに関する。
【背景技術】
【０００２】
送信元アドレスが詐称されたパケットを使っての攻撃（例えばＤｏＳ：Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ攻撃）を防御するために、その攻撃パケットのネットワーク内での進入位置を追跡・特定し、その位置での攻撃パケットの進入を防ぐ方法が有効である。インターネット内の攻撃パケットの進入位置を追跡する方法として、非特許文献１において報告されている攻撃パケット通過情報収集分析方法がある。ここでは、この攻撃パケット通過情報収集分析方法の従来技術を説明する。
【０００３】
なお、特定対象の装置として、ルータ、ゲートウエイ、ブリッジなどをネットワークとネットワークとを中継する装置を考える。以下の説明では、代表的な中継装置であるルータを仮定する。
【０００４】
図１０はこのシステムの構成例を示している。図１０のシステムでは、攻撃コンピュータ２、攻撃コンピュータ３、被攻撃コンピュータ４がルータ１１〜１３，２１〜２３，３１〜３３と伝送路から構成されるネットワーク１に接続されている。この例では、攻撃コンピュータ２はルータ１１，２１，２２，３２を経由して被攻撃コンピュータ４へ攻撃パケットを送信し、攻撃コンピュータ３はルータ１３，２３，２２，３２を経由して被攻撃コンピュータ４へ攻撃パケットを送信している。攻撃コンピュータ２と被攻撃コンピュータ４との間のパスを攻撃パケットパス５、攻撃コンピュータ２２と被攻撃コンピュータ２３との間のパスを攻撃パケットパス６とする。
【０００５】
攻撃パケット通過情報収集分析型攻撃パケット進入中継装置特定システムは、各ルータ１１〜１３，２１〜２３，３１〜３３を疎通するパケットの通過情報を記録するパケット通過情報記録装置１１１０〜１１３０，１２１０〜１２３０，１３１０〜１３３０と、攻撃パケットを追跡する攻撃パケット進入中継装置特定装置１０４０と、攻撃パケットを検出する攻撃パケット検出装置５０から構成されている。
【０００６】
上記文献での装置「Ｄａｔａ  ｇｅｎｅｒａｔｉｏｎ  ａｇｅｎｔ」はパケット通過情報記録装置１１１０〜１３３０、装置「Ｓｏｕｒｃｅ  ｐａｔｈ  ｉｓｏｌａｔｉｏｎ  ｅｎｇｉｎｅ  ｃｏｌｌｅｃｔｉｏｎ  ａｎｄ  ｒｅｄｕｃｔｉｏｎ  ｅｎｄｇｉｎｅ（ＳＣＡＲ）」は攻撃パケット進入中継装置特定装置１０４０に相当する。なお、上記文献ではネットワークを複数の管理ドメインに分け各管理ドメインごとにＳＣＡＲを用意し、ＳＣＡＲを統合管理する装置「Ｓｏｕｒｃｅ  ｐａｔｈ  ｉｓｏｌａｔｉｏｎ  ｅｎｇｉｎｅ  ｔｒａｃｅｂａｃｋ  ｍａｎａｇｅｒ（ＳＴＭ）」が存在し、ＳＴＭが攻撃パケットを検出する攻撃パケット検出装置に接続しているシステム形態を考えている。しかし、本発明は管理ドメインの概念に依存しないため、ここでは管理ドメインを想定しないことにする。
【０００７】
図１１は攻撃パケット通過情報収集分析型攻撃パケット進入中継装置特定システムの各装置のブロック図である。パケット通過情報記録装置１１１０は、通過パケットログテーブル１２０３と、接続したルータ１１を疎通したパケットのログを作成し、そのログを通過パケットログテーブル１２０３に書き込む通過パケットログ作成部１２０１と、攻撃パケット進入中継装置特定装置１０４０からパケット通過確認要求メッセージを受けたとき、指定されたパケットのログが通過パケットログテーブル１２０３にあるか検索し、パケット通過確認応答メッセージを作成し、攻撃パケット進入中継装置特定装置１０４０に返信するログテーブル検索部１２０２から構成される。他のパケット通過情報記録装置１１２０〜１３３０も同じ構成である。
【０００８】
攻撃パケット進入中継装置特定装置１０４０は、攻撃パケット検出装置５０からの攻撃パケット発信源追跡要求メッセージを受信すると、隣接ルータテーブル１２４３とパケット通過情報記録装置１１１への問い合わせにより攻撃パケット通過ルータテーブル１２４４と攻撃グラフを作成する攻撃グラフ作成部１２４１と、攻撃パケット通過ルータテーブル１２４４から攻撃パケットの進入元を特定する攻撃パケット発信源追跡部１２４２から構成される。
【０００９】
表１に示すように、通過パケットログテーブル１２０３は、ルータを通過したパケットの先頭部（上記文献では、疎通パケットのプレフィックスをＩＰヘッダとペイロードの先頭８バイト）を意味するパケットプレフィックス属性と、そのパケットがルータを通過した時刻を意味する通過時刻属性と、そのパケットがネットワーク１の外部リンクから進入した場合“外部リンク”、ネットワーク１の内部のルータから進入した場合“内部リンク”を意味する進入リンク属性から構成される。
【００１０】
【表１】
2006101207.tif 000003
【００１１】
なお、上記文献では通過パケットログテーブル１２０３の検索としてハッシュを使った検索を採用している。また、上記文献では、攻撃パケットのパスの追跡を目的とし進入ルータの特定を目的としていないため進入リンク属性は明記されていない。
【００１２】
表２に示すように、隣接ルータテーブル１２４３は、ネットワーク１内のルータの識別子（ＩＤ）を意味するルータＩＤ属性と、そのルータとひとつのホップで到達可能なルータ（隣接ルータ）のＩＤを意味する隣接ルータＩＤ属性から構成されている。
【００１３】
【表２】
2006101207.tif 000004
【００１４】
表３に示すように、攻撃パケット通過ルータテーブル１２４４は、ネットワーク１内のルータの識別子（ＩＤ）を意味するルータＩＤ属性と、そのルータをもとに攻撃グラフの作成処理状態である“未処理”、“処理中”、“処理済”を示す処理状態属性と、そのルータが攻撃パケットのネットワーク１へ進入ルータになっているかどうかを示す進入ルータ属性（初期値は“ＮＵＬＬ”）から構成されている。
【００１５】
【表３】
2006101207.tif 000005
【００１６】
図１２はパケット通過情報記録装置１１１の通過パケットログ作成部１２０１における処理のフローチャートである。
【００１７】
１．収容しているルータ１１を通過したパケットのプレフィックスを取り出す（ステップ１４０１）。
【００１８】
２．上記パケットの通過時刻を取得する（ステップ１４０２）。
【００１９】
３．上記パケットの進入したリンクの種別“外部リンク”、“内部リンク”を取得する（ステップ１４０３）。
【００２０】
４．取得したプレフィックス、パケットの通過時刻、パケットの進入したリンク種別をそれぞれ、パケットプレフィックス属性の値、通過時刻属性の値、進入ルータ属性の値として通過パケットログテーブル１２０３に追加する（ステップ１４０４）。
【００２１】
図１３はパケット通過情報記録装置１１１のログテーブル検索部１２０２における攻撃パケット進入中継装置特定装置１０４０からパケット通過確認要求メッセージを受信した時の処理のフローチャートである。
【００２２】
１．受信したパケット通過確認要求メッセージに含まれている攻撃パケットのプレフィックスＰ、攻撃検出時刻Ｔを取り出す（ステップ１４１１）。
【００２３】
２．通過パケットログテーブル１２０３において、以下の条件を満たす要素を検索する（ステップ１４１２）。
・パケットプレフィックス属性の値＝プレフィックスＰ
・通過時刻属性の値が攻撃検出時刻Ｔを含む、決められた期間内にある。
３．ステップ１４１２で検索した要素がない場合、応答値：無、ステップ１４１２で検索した要素がある場合、応答値：有、進入リンク属性（外部リンクもしくは内部リンク）のパケット通過確認応答メッセージを作成し、攻撃パケット進入中継装置特定装置１０４０に送信する（ステップ１４１３）。
【００２４】
図１４は攻撃パケット進入中継装置特定装置１０４０の攻撃パケットグラフ作成部１２４１における攻撃パケット検出装置５０から攻撃パケット発生の通知を受けた場合の初期化処理のフローチャートである。
【００２５】
１．攻撃パケット通過ルータテーブル１２４４を初期化する（ステップ１４２１）。
【００２６】
２．攻撃パケット検出装置５０から攻撃パケットの受信を通知された場合、以下の処理を行う（ステップ１４２２）。
（ａ）攻撃パケットのプレフィックスをＰとする。
（ｂ）攻撃パケットの検出時刻をＴとする。
（ｃ）以下の属性の要素を攻撃パケット通過ルータテーブル１２４４に追加する。
・ルータＩＤ属性の値＝攻撃パケットが検出されたルータのルータＩＤ
・処理状態属性の値＝“未処理”
・進入ルータ属性の値＝“ＮＵＬＬ”
【００２７】
図１５は、攻撃パケット進入中継装置特定装置１０４０内の攻撃パケットグラフ作成部１２４１における攻撃パケット検出装置５０から攻撃パケット発生の通知を受けた場合の図１４で示した初期化処理後の繰返し処理のフローチャートである。
【００２８】
攻撃パケット通過ルータテーブル１２４４において、処理状態属性の値が“未処理”である要素がなくなるまで、以下の処理を繰り返す（ステップ１４３０）。
【００２９】
１．攻撃パケット通過ルータテーブル１２４４において、処理状態属性の値が“未処理”である要素をとりだす（ステップ１４３１）。
【００３０】
２．攻撃パケット通過ルータテーブル１２４４の上記の要素において、以下の処理を行う。
（ａ）処理状態属性の値を“処理中”とする。
（ｂ）ルータＩＤ属性の値をＲｉとする。
【００３１】
３．ルータＲｉに攻撃パケットのプレフィックスＰ、攻撃パケット発生時刻Ｔを含むパケット通過確認要求メッセージを送信する（ステップ１４３３）。
【００３２】
４．ルータＲｉからパケット通過確認応答メッセージを受信した場合、パケット通過確認応答メッセージの応答値に応じて以下の処理を行う（ステップ１４３４）。
・パケット通過確認応答メッセージの応答値が“内部リンク”の場合
（ａ）攻撃パケット通過ルータテーブル１２４４において、ルータＩＤ属性がＲｉの要素の進入ルータ属性の値を“真”とする。
（ｂ）隣接ルータテーブル１２４３において、ルータＩＤ属性がＲｉであるすべての要素において以下の処理を行う。
（ｃ）以下の属性をもつ要素を攻撃パケット通過ルータテーブル１２４４に追加する。
ルータＩＤ属性の値＝隣接ルータテーブル１２４３での隣接ルータＩＤ属性の値
処理状態属性の値＝“未処理”
進入ルータ属性の値＝“ＮＵＬＬ”
・パケット通過確認応答メッセージの応答値が“外部リンク”の場合
（ａ）攻撃パケット通過ルータテーブル１２４４において、ルータＩＤ属性がＲｉの要素の進入ルータ属性ＮＯ値を“偽”とする。
（ｂ）隣接ルータテーブル１２４３において、ルータＩＤ属性がＲｉであるすべての要素において以下の属性をもつ要素を攻撃パケット通過ルータテーブル１２４４に追加する。
ルータＩＤ属性の値＝隣接ルータテーブルでの隣接ルータＩＤ属性の値
処理状態属性の値＝“未処理”
進入ルータ属性の値＝“ＮＵＬＬ”
・パケット通過確認応答メッセージの応答値が“無”の場合、処理なし
攻撃パケット通過ルータテーブル１２４４の該当する要素の処理状態属性の値を“処理済”とする（ステップ１４３５）。
【００３３】
なお、図１５で示したパケット通過確認要求メッセージを送信するパケット通過情報記録装置の発見手順は、上記文献において記述されている“逆パスフォワーディング”アルゴリズム（例えば、文献“Ｒｅｖｅｒｓｅ  ｐａｔｈ  ｆｏｒｗａｒｄｉｎｇ  ｏｆ  ｂｒｏａｄｃａｓｔ  ｐａｃｋｅｔｓ”  Ｋ．Ｙｏｇｅｎ他著，Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  ｏｆ  ｔｈｅ  ＡＣＭ，Ｖｏｌｕｍｅ  ２１  Ｉｓｓｕｅ  １２，ｐｐ．１０４０−１０４８，１９７８年参照）を使っている。
【００３４】
例えば、図１０で示したネットワーク構成の場合、図１６に示される手順によりパケット通過確認処理を行っている。この例では、最初にパケット通過情報記録装置１２２にアクセス（図１６でのパケット通過確認処理５０１）し、最後にパケット通過情報記録装置１１１にアクセス（図１６でのパケット通過確認処理５０９）している。同じ装置に二度以上アクセスすることはないが、この例ではすべてのパケット通過情報記録装置にアクセスしている。
【００３５】
図１７は、最終的な攻撃パケット通過ルータテーブルから構成されるネットワーク１での攻撃パケットの攻撃グラフである。攻撃グラフとは、攻撃パケットが疎通したルータから構成される木である。図１７で示した攻撃パケットパス５はルータ１１、２１、２２、３２を疎通し、攻撃パケットパス６はルータ１３、２３、２２、３２を疎通することから攻撃グラフ７のような木となる。
【００３６】
攻撃パケット発信源追跡部１２４２では、攻撃パケット通過ルータテーブル１２４４を検索し、進入ルータ属性が“真”であるすべての要素のルータＩＤ属性を取得し、そのＩＤを攻撃パケット検出装置５０に返す。
【００３７】
図１６に示すように、図１０で示したネットワーク構成ではルータ１１、ルータ１３はそれぞれ攻撃コンピュータ２，３を収容していることから攻撃パケット発信源ルータとなる。
【００３８】
なお、ネットワーク１への攻撃パケットの進入を防ぐためには、攻撃パケット発信源ルータでの攻撃パケットの進入拒絶処理が必要となるが、本発明では関係がないため、その説明を省略する。
【非特許文献１】“Ｓｉｎｇｌｅ−ｐａｃｋｅｔ  ＩＰ  ｔｒａｃｅｂａｃｋ”  Ａｌｅｘ  Ｃ．Ｓｎｏｅｒｅｎ他著，ＩＥＥＥ／ＡＣＭ  Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  Ｎｅｔｗｏｒｋｉｎｇ，Ｖｏｌｕｍｅ  １０  Ｉｓｓｕｅ  ６，ｐｐ．７２１−７３４，２００２年
【発明の開示】
【発明が解決しようとする課題】
【００３９】
上述した従来の攻撃パケット通過情報収集分析システムでは、完全なる攻撃グラフを作成するためには、ネットワーク内のパス上のルータおよびそのルータに隣接するルータのパケット通過情報記録装置にアクセスする必要がある。よって、攻撃パケットの発信源を追跡するためにはネットワークが大規模になるほどパケット通過情報記録装置へのアクセス時間ならびにそのアクセスに伴うメッセージ数が増大してしまう。例えば、図１６で示したように、図１０に示したネットワークでは、すべてのパケット通過情報記録装置にアクセスしている。
【００４０】
本発明の目的は、攻撃パケット発信源装置を特定するために必要なメッセージ数を削減することができる攻撃パケット進入中継装置特定システムおよび装置を提供することにある。
【課題を解決するための手段】
【００４１】
本発明の攻撃パケット進入中継装置特定システムは、各中継装置に接続され、攻撃パケットが疎通した中継装置である基点装置と該攻撃パケットの発信源の装置との距離である発信源装置間距離を算出する発信源装置間距離測定装置と、基点装置からの距離が前記発信源装置間距離である中継装置と特定する攻撃パケット進入中継装置特定装置を有する。
【００４２】
本発明の攻撃パケット進入中継装置特定装置は、
発信源装置間距離を算出する手段と、
基点装置での攻撃パケットの進入方向を特定する手段と、
基点装置から攻撃パケットの進入方向に対し発信源装置間距離の次元に基づく最短パスを構成する手段と、
最短パス上にあり基点装置からの距離が発信源装置間距離である中継装置を特定する手段と、
該特定された中継装置の中から、ユーザを直接収容している中継装置を特定する手段と、
該特定された、ユーザを直接収容している中継装置の中から、攻撃パケットが進入した中継装置を特定する手段と、
を有する。
【００４３】
本発明の他の攻撃パケット進入中継装置特定装置は、
前記基点装置での攻撃パケットの進入方向を特定する手段と、
前記基点装置から攻撃パケットの進入方向に対し前記発信源装置間距離の次元に基づく最短パスを構成する手段と、
最短パス上にあり、基点装置からの距離が発信源装置間距離以下であり、外部のネットワークを収容する中継装置を特定する手段と、
該特定された中継装置の中から、外部ネットワークからの攻撃パケットが進入した中継装置を特定する手段と、
を有する。
【００４４】
本発明は、下記の特徴に着目してなされたものである。すなわち、
特徴１：攻撃パケットの進入中継装置は、攻撃パケットが検出されたルータを基点とする装置（基点装置と呼ぶ）から作成した最短パス木上にある。
【００４５】
特徴２：攻撃パケットの進入中継装置が直接ユーザを収容している場合は、基点装置と攻撃パケットの進入中継装置との距離は、基点装置において観測された距離と等しい。
【００４６】
特徴３：攻撃パケットの進入中継装置が外部ネットワークを収容している場合は、基点装置と攻撃パケットの進入中継装置との距離は、基点装置において観測された距離以下である。
【００４７】
特徴４：攻撃パケットが検出されたルータから攻撃パケットの進入方向に対する最短パス木上に攻撃パケットの進入中継装置がある。
【００４８】
本発明は、各中継装置（ルータ）に攻撃パケットの発信源装置間距離測定装置を配置し、攻撃パケット検出装置によって攻撃パケットが検出されると、攻撃パケット進入中継装置特定装置は、攻撃パケットの検出されたルータに配置された発信源装置間距離測定装置に対して、パケットの発信源装置間距離を問い合わせ、該発信源装置間距離とパケット転送の経路を示す最短パス木から攻撃パケットの進入装置（中継装置）を特定するものである。これにより、すべてのルータに通過パケットのログを問い合わせる必要がなくなり、攻撃パケット発信源装置を特定するメッセージ数と特定時間を短縮できる。
【００４９】
なお、本発明の請求項１は前記の特徴１に、請求項２，３は前記の特徴２に、請求項４，５は前記の特徴３に、請求項６，７は前記の特徴４に関連している。請求項８から１２は、後述するように基点装置において観測された距離に誤差が生じる場合があるため、それを解決する発明である。
【発明の効果】
【００５０】
本発明は、攻撃パス上のルータおよびそのパス上の隣接ルータにアクセスすることなく攻撃パケットの進入装置を特定できるため、そのために必要なメッセージ数を削減することができるとともに特定時間を短縮できる。
【発明を実施するための最良の形態】
【００５１】
次に、本発明の実施の形態について図面を参照して説明する。
【００５２】
図１を参照すると、本発明の一実施形態の攻撃パケット進入中継装置特定システムは、発信源装置間距離測定装置１１１〜１１３，１２１〜１２３，１３１〜１３３と、距離ベース攻撃パケット進入中継装置特定装置４０と、攻撃パケット検出装置５０を有している。
【００５３】
図２は発信源装置間距離測定装置１１１と距離ベース攻撃パケット進入中継装置特定装置４０の構成を示している。
【００５４】
発信源装置間距離測定装置１１１は、それに接続したルータ１１を疎通するパケットもしくは攻撃パケットの発信源装置からその装置が収容しているルータ間までの距離を測定する実距離測定部２０１と、その実距離を攻撃パケット発信源を特定するために使用する距離（ここでは可用距離と呼ぶ）に変換し、その距離に関するログを距離ログテーブル２０４に書き込む可用距離変換部２０２と、距離ベース攻撃パケット進入中継装置特定装置４０から発信源装置間距離要求メッセージを受けたとき、指定されたパケットの距離に関するログが距離ログテーブル２０４にあるか検索し、発信源装置間距離応答メッセージを作成し、距離ベース攻撃パケット進入中継装置特定装置４０に返信する距離ログテーブル検索部２０３から構成される。発信源装置間距離測定装置１１２，１１３，１２１〜１２３，１３１〜１３３も同様の構成である。
【００５５】
ここでの可用距離とは、既存のルーティングプロトコルであるＲＩＰ（Ｒｏｕｔｉｎｇ
Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）、ＯＳＰＦ（Ｏｐｅｎ Ｓｈｏｒｔｅｓｔ  Ｐａｔｈ Ｆｉｒｓｔ）、ＩＳ−ＩＳ（Ｉｎｔｅｒｍｅｄｉａｔｅ Ｓｙｓｔｅｍ  ｔｏ  Ｉｎｔｅｒｍｅｄｉａｔｅ Ｓｙｓｔｅｍ Ｐｒｏｔｏｃｏｌ）において導入されている距離を指す。具体的には、ホップ数（経由したルータ数）、遅延時間、課金などがある（例えば、Ｒ．Ｐｅｒｌｍａｎ，”Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎｓ：ｂｒｉｄｇｅｓ，ｒｕｔｅｒｓ，ｓｗｉｔｃｈｅｓ ａｎｄ ｉｎｔｅｒｎｅｔｗｏｒｋｉｎｇ ｐｒｏｔｏｋｏｌｓ”，Ａｄｄｉｓｏｎ−Ｗｅｓｌｅｙ Ｐｕｂｌｉｓｈｅｄ １９９９／１０）。本実施形態では、ホップ数を仮定している。
【００５６】
また、ここでの実距離とは、文献“発信元偽装メール型ウイルスの感染源分析法”豊泉著、第９回ＳＩＧＥＶＡ研究会、６月、２００４年において記載されている仮想距離を意味する。すなわち、この距離を測定する実距離測定部２０１は上記文献で示されている方法により測定すればよい。この文献では、実距離は、ｌｏｇ（１−Ｖａｒ［Ｘ］/Ｅ［Ｘ］2）/Ｃ（Ｃ：定数、例えば１/２）と定義されている。ここで、変数Ｘは攻撃パケットの到着間隔（上記文献では、感染メールの到着間隔に対応する）であり、Ｖａｒ［Ｘ］，Ｅ［Ｘ］はそれぞれ変数Ｘの分散、平均を意味する。もしホップ数の次元の可用距離に変換する場合は、ホップ数Ｋの場合の実距離ＲＬKを事前に求め、得られた実距離がＲＬの場合、Ｋ×ＲＬ/ＲＬKとすることにより可用距離を算出する。
【００５７】
距離ベース攻撃パケット進入中継装置特定装置４０は、攻撃パケット検出装置５０からの攻撃パケット発信源追跡要求メッセージを受信すると、そのメッセージで通知されたルータを基点とする最短パス木２４４を作成する最短パス木作成部２４１と、発信源装置間距離測定装置１１１〜１３３への問い合わせにより攻撃パケット進入候補エッジルータテーブル２４５と攻撃パケット進入候補境界ルータテーブル２４６を作成し、それらのテーブルから２４５，２４６攻撃パケットの進入装置を特定する攻撃パケット進入装置特定部２４２から構成される。
【００５８】
表４に距離ログテーブル２０４の構成例を示す。距離ログテーブル２０４は、表１中のパケットプレフィックス属性と等価であるパケットプレフィックス属性、通過時刻属性と等価である通過時刻属性、進入リンク属性と等価である進入リンク属性、そのパケットを送信した上流のルータのルータＩＤ属性、そのパケットの実距離を意味する実距離属性、そのパケットの可用距離を意味する可用距離属性から構成される。
【００５９】
【表４】
2006101207.tif 000006
【００６０】
表５と表６に、それぞれ攻撃パケット進入候補エッジルータテーブル２４５と攻撃パケット進入候補境界ルータテーブル２４６の構成例を示す。各テーブルの属性は、表３の攻撃パケット通過ルータテーブル１２４４の属性と等価である。ただし、攻撃パケット進入候補エッジルータテーブル２４５に記録されるルータはユーザを収容するルータ（エッジルータ）であり、攻撃パケット進入候補境界ルータテーブル２４６に記録されるルータはネットワーク１の外部のネットワークを収容するルータ（境界ルータ）である。
【００６１】
【表５】
2006101207.tif 000007
【００６２】
【表６】
2006101207.tif 000008
【００６３】
図３は発信源装置間距離測定装置１１１の実距離測定部２０１、可用距離変換部２０２におけるルータにおけるパケット受信時の処理を示すフローチャートである。
１．収容しているルータを通過したパケットのプレフィックスを取り出す（ステップ４０１）。
２．上記パケットの通過時刻を取得する（ステップ４０２）。
３．上記パケットの進入したリンクの種別（“外部リンク”、“内部リンク”）を取得する（ステップ４０３）。
４．上記パケットの上流のルータのＩＤを取得する（ステップ４０４）。
５．そのパケットの発信源装置からの実距離を実距離測定部２０１により測定する（ステップ４０５）。
６．その実距離を可用距離に変換する（ステップ４０６）。
７．以下の属性の要素を距離ログテーブル２０４に追加する（ステップ４０７）。
・パケットプレフィックス属性の値＝ステップ４０１で取得したプレフィックス
・通過時刻属性の値＝ステップ４０２で取得したパケットの通過時刻
・進入ルータ属性の値＝ステップ４０３で取得したパケットの進入したリンク種別
・上流ルータＩＤ属性の値＝ステップ４０４で取得したパケットの上流のルータのＩＤ
・実距離属性の値＝ステップ４０５で測定されたパケットの発信源装置からの実距離
・可用距離属性の値＝ステップ４０６で算出されたパケットの発信源装置からの可用距離
【００６４】
図４は発信源装置間距離測定装置１１１の距離ログテーブル検索部２０３における距離ベース攻撃パケット進入中継装置特定装置４０から発信源装置間距離要求メッセージを受信した時の処理のフローチャートである。
【００６５】
１．受信した発信源装置間距離要求メッセージに含まれている攻撃パケットのプレフィックスＰ、攻撃検出時刻Ｔを取り出す（ステップ４１１）。
【００６６】
２．通過パケットログテーブル２０４において、以下の条件を満たす要素を検索する（ステップ４１２）。
【００６７】
・パケットプレフィックス属性の値＝プレフィックスＰ
・通過時刻属性の値が攻撃検出時刻Ｔを含む、決められた期間内にある。
【００６８】
３．以下の条件に応じて、発信源装置間距離応答メッセージを作成し、距離ベース攻撃パケット進入中継装置特定装置４０に送信する（ステップ４１３）。
・ステップ４１２で検索した要素がない場合、応答値：無
・ステップ４１２で検索した要素がある場合、応答値：有、進入リンク属性（外部リンクもしくは内部リンク）、可用距離属性
【００６９】
図５は距離ベース攻撃パケット進入中継装置特定装置４０において攻撃パケット検出装置５０から攻撃パケット発生の通知を受けた場合の発信源装置間距離要求メッセージを送信するまでの処理のフローチャートである。
【００７０】
１．攻撃パケット進入候補エッジルータテーブル２４５と攻撃パケット進入候補境界ルータテーブル２４６を初期化する（ステップ４２１）。
【００７１】
２．攻撃パケット検出装置５０から攻撃パケットの受信を通知された場合、以下の処理を行う（ステップ４２２）。
（ａ）攻撃パケットのプレフィックスをＰとする。
（ｂ）攻撃パケットの検出時刻をＴとする。
（ｃ）攻撃パケットが検出されたルータのルータＩＤをＲｉとする。
３．ルータＲｉを基点とするネットワーク１内の最短パス木を作成する（ステップ４２３）。
【００７２】
４．発信源装置間距離測定装置に攻撃パケットのプレフィックスＰ、攻撃パケット発生時刻Ｔを含む発信源装置間距離要求メッセージを送信する（ステップ４２４）。
【００７３】
図６はルータ２２を基点とする最短パス木を示している。
【００７４】
最短パス木の作成手順は、文献“マスタリングＴＣＰ／ＩＰ応用編”Ｐ．Ｍｉｌｌｅｒ著、平成１０年、オーム社の２３５、２３６ページに記載されている。なお、最短パス木を作成するためには、ルータ間のリンク情報（例えばリンクが接続しているルータＩＤ、メトリック値など）が必要となるが、この情報はＯＳＰＦ（Ｏｐｅｎ  Ｓｈｏｒｔｅｓｔ  Ｐａｔｈ  Ｆｉｒｓｔ）プロトコルのようなリンク状態ルーティングプロトコルが実行されているルータ内のリンク状態データベースに存在する（詳細については文献“Ｃｉｓｃｏ  ＩＰ Ｒｏｕｔｉｎｇ:Ｐａｃｋｅｔ  Ｆｏｒｗａｒｄｉｎｇ  ａｎｄ  Ｉｎｔｒａ−ｄｏｍａｉｎ  Ｒｏｕｔｉｎｇ  Ｐｒｏｔｏｃｏｌｓ  "Ａ．  Ｚｉｎｉｎ著、２００２年、Ａｄｄｉｓｏｎ−Ｗｅｓｌｅｙ社、４３６−４３８ページ参照）。よって、攻撃パケットが検出されたルータにアクセスし関連するデータベース値を取得することによりこのルータを基点とする最短パス木を作成することができる。
【００７５】
図７は距離ベース攻撃パケット進入中継装置特定装置４０においてルータＲｉから発信源装置間距離応答メッセージを受信した場合の攻撃パケット進入エッジルータを特定する処理のフローチャートである。
【００７６】
１．以下の条件を満たすルータを検索する（ステップ４３１）。
・ルータＲｉを基点とし、発信源装置間距離応答メッセージで報告された上流ルータＩＤをもつルータの方向の最短パス木上にある。
・ルータＲｉからの距離が発信源装置間距離応答メッセージで報告された可用距離と等しい。
・ユーザを収容している。
ここで、ルータがＯＳＰＦプロトコルを実行している場合、ユーザを収容しているルータはリンク状態データベースにおいて、タイプがスタブネットワークであるリンクをもつリンク広告パケットを送信したルータを見つけだすことにより、特定することが可能である。
【００７７】
２．ステップ４３１で合致したルータを、以下の属性値をもつ攻撃パケット進入候補エッジルータテーブル２４５に追加する（ステップ４３２）。
・ルータＩＤ属性の値＝合致したルータＩＤ
・処理状態属性の値＝“未処理”
・進入ルータ属性の値＝“ＮＵＬＬ”
【００７８】
３．攻撃パケット進入候補エッジルータテーブル２４５において、処理状態属性の値が“未処理”である要素がなくなるまで、以下の処理を繰り返す（ステップ４３３）。
（ａ）攻撃パケット進入候補エッジルータテーブル２４５において、処理状態属性の値が“未処理”である要素をとりだす。
（ｂ）攻撃パケット進入候補エッジルータテーブル２４５の上記の要素において、以下の処理を行う。
ｉ．  処理状態属性の値を“処理中”とする。
ｉｉ．  ルータＩＤ属性と同じＩＤをもつルータＲｉに攻撃パケットのプレフィックスＰ、攻撃パケット発生時刻Ｔを含む発信源装置間距離要求メッセージを送信する。
ｉｉｉ．  ルータＲｉからの発信源装置間距離応答メッセージを受信した場合、発信源装置間距離応答メッセージの応答値に応じて以下の処理を行う（ステップ４３４）。
・応答値が“内部リンク”の場合、攻撃パケット進入候補エッジルータテーブル２４５において、ルータＩＤ属性がＲｉの要素の進入ルータ属性の値を“真”とする。
・応答値が“外部リンク”の場合、攻撃パケット進入候補エッジルータテーブル２４５において、ルータＩＤ属性がＲｉの要素の進入ルータ属性の値を“偽”とする。
ｉｖ．  攻撃パケット進入候補エッジルータテーブル２４５の該当する要素の処理状態属性の値を“処理済”とする（ステップ４３５）。
【００７９】
図８は距離ベース攻撃パケット進入中継装置特定装置４０においてルータＲｉから発信源装置間距離応答メッセージを受信した場合の攻撃パケット進入境界ルータを特定する処理のフローチャートである。
【００８０】
１．以下の条件を満たすルータを検索する（ステップ４５１）。
・ルータＲｉを基点とし、発信源装置間距離応答メッセージで報告された上流ルータＩＤをもつルータの方向の最短パス木上にある。
・ルータＲｉからの距離が発信源装置間距離応答メッセージで報告された可用距離以下である。
・境界ルータである。
ここで、ルータがＯＳＰＦプロトコルを実行している場合、境界ルータはリンク状態データベースにおいて、ルータタイプフィールド内のＥフラグが設定されているリンク広告パケットを送信したルータを見つけだすことにより、特定することが可能である。
【００８１】
２．ステップ４５１で合致したルータを、以下の属性値をもつ攻撃パケット進入候補境界ルータテーブル２４６に追加する（ステップ４５２）。
・ルータＩＤ属性の値＝合致したルータＩＤ
・処理状態属性の値＝“未処理”
・進入ルータ属性の値＝“ＮＵＬＬ”
【００８２】
３．攻撃パケット進入候補境界ルータテーブル２４６において、処理状態属性の値が“未処理”である要素がなくなるまで、以下の処理を繰り返す（ステップ４５３）。
（ａ）攻撃パケット進入候補境界ルータテーブル２４６において、処理状態属性の値が“未処理”である要素をとりだす。
（ｂ）攻撃パケット進入候補境界ルータテーブル２４６の上記の要素において、以下の処理を行う。
ｉ．  処理状態属性の値を“処理中”とする。
ｉｉ．  ルータＩＤ属性と同じＩＤをもつルータに攻撃パケットのプレフィックスＰ、攻撃パケット発生時刻Ｔを含む発信源装置間距離要求メッセージを送信する。
ｉｉｉ．  ルータＲｉからの発信源装置間距離応答メッセージを受信した場合、発信源装置間距離応答メッセージの応答値に応じて以下の処理を行う（ステップ４５４）。
・応答値が“内部リンク”の場合、攻撃パケット進入候補境界ルータテーブル２４６において、ルータＩＤ属性がＲｉの要素の進入ルータ属性の値を“真”とする。
・応答値が“外部リンク”の場合、攻撃パケット進入候補境界ルータテーブル２４６において、ルータＩＤ属性がＲｉの要素の進入ルータ属性の値を“偽”とする。
ｉｖ．  攻撃パケット進入候補境界ルータテーブル２４６の該当する要素の処理状態属性の値を“処理済”とする（ステップ４５５）。
【００８３】
図９に攻撃パケット進入候補エッジルータ群と攻撃パケット進入候補境界ルータ群を示す。
【００８４】
距離ベース攻撃パケット進入中継装置特定装置４０の攻撃パケット進入中継装置特定部２４２では、攻撃パケット進入候補エッジルータテーブル２４５と攻撃パケット進入候補境界ルータテーブル２４６とを検索し、攻撃パケット進入候補エッジルータテーブル２４５と攻撃パケット進入候補境界ルータテーブル２４６の進入ルータ属性が“真”であるすべての要素のルータＩＤ属性を取得し、そのＩＤを攻撃パケット検出装置５０に返す。
【００８５】
前述した“実距離”は、誤差を伴うことがある（前述の文献“発信元偽装メール型ウイルスの感染源分析法”豊泉著、第９回ＳＩＧＥＶＡ研究会、６月、２００４年参照）。これに対処するために、図７のステップ４３１の処理の二番目の条件を「ルータＲｉからの距離が発信源装置間距離応答メッセージで報告された可用距離に規定値を減算した値と加算した値に含まれる。」とし、図８のステップ４５１の処理の二番目の条件を「ルータＲｉからの距離が発信源装置間距離応答メッセージで報告された可用距離に規定値を加算した値以下である。」とする。なお、「規定値」は、距離をホップ数（経由したルータ数）とした場合、２が考えられる。
【図面の簡単な説明】
【００８６】
【図１】本発明の一実施形態の攻撃パケット進入中継装置特定システムの構成を示す図である。
【図２】図１のシステムの各装置のブロック構成を示す図である。
【図３】発信源装置間距離測定装置１１１の実距離測定部２０１、可用距離変換部２０２におけるパケット受信時の処理のフローチャートである。
【図４】発信源装置間距離測定装置１１１の距離ログテーブル検索部２０３における距離ベース攻撃パケット進入中継装置特定装置４０から発信源装置間距離要求メッセージ受信時の処理のフローチャートである。
【図５】距離ベース攻撃パケット進入中継装置特定装置４０において攻撃パケット検出装置５０から攻撃パケット発生の通知を受けた場合の処理（発信源装置間距離要求メッセージを送信するまで）のフローチャートである。
【図６】ルータ２２を基点とする最短パス木を示す図である。
【図７】距離ベース攻撃パケット進入中継装置特定装置４０において発信源装置間距離測定装置１１１から発信源装置間距離応答メッセージを受信した場合の攻撃パケット進入エッジルータを特定する処理のフローチャートである。
【図８】距離ベース攻撃パケット進入中継装置特定装置４０において発信源装置間距離測定装置１１１から発信源装置間距離応答メッセージを受信した場合の攻撃パケット進入境界ルータを特定する処理のフローチャートである。
【図９】攻撃パケット進入候補エッジルータ群と攻撃パケット進入候補境界ルータ群を示す図である。
【図１０】従来の攻撃パケット通過情報収集分析システムの構成を示す図である。
【図１１】図１０のシステムにおける各装置のブロック構成を示す図である。
【図１２】パケット通過情報記録装置１１１の通過パケットログ作成部１２０１における、ルータにおいてパケット受信時の処理のフローチャートである。
【図１３】パケット通過情報記録装置１１１のログテーブル検索部１２０２における、攻撃パケット進入中継装置特定装置１０４０からパケット通過確認要求メッセージ受信時の処理のフローチャートである。
【図１４】攻撃パケット進入中継装置特定装置１０４０において攻撃パケット検出装置５０から攻撃パケット発生の通知を受けた場合の初期化処理のフローチャートである。
【図１５】攻撃パケット進入中継装置特定装置１０４０において攻撃パケット検出装置５０から攻撃パケット発生の通知を受けた場合の繰返し処理のフローチャートである。
【図１６】ネットワーク１でのパケット通過確認処理順序の例を示す図である。
【図１７】ネットワーク１での攻撃パケットの攻撃グラフを示す図である。
【符号の説明】
【００８７】
１    ネットワーク
２，３    攻撃コンピュータ
４    被攻撃コンピュータ
５，６    攻撃パケットパス
１１〜１３，２１〜２３，３１〜３３    ルータ
４０    距離ベース攻撃パケット進入中継装置特定装置
５０    攻撃パケット検出装置
１０００    外部ネットワーク
１００１    攻撃コンピュータ
１１１〜１１３，１２１〜１２３，１３１〜１３３    発信源装置間距離測定装置
１１００，１２００    攻撃パケット進入候補エッジルータ群
１３００    攻撃パケット進入候補境界ルータ群
２０１    実距離測定部
２０２    可用距離変換部
２０３    距離ログテーブル検索部
２０４    距離ログテーブル
２４１    最短パス木作成部
２４２    攻撃パケット進入中継装置特定部
２４４    最短パス木
２４５    攻撃パケット進入候補エッジルータテーブル
２４６    攻撃パケット進入候補境界ルータテーブル
４０１〜４０７，４１１〜４１３，４２１〜４２４，４３１〜４３５，４５１〜４５５    ステップ
【図１】
2006101207.tif 000009
【図２】
2006101207.tif 000010
【図３】
2006101207.tif 000011
【図４】
2006101207.tif 000012
【図５】
2006101207.tif 000013
【図６】
2006101207.tif 000014
【図７】
2006101207.tif 000015
【図８】
2006101207.tif 000016
【図９】
2006101207.tif 000017
【図１０】
2006101207.tif 000018
【図１１】
2006101207.tif 000019
【図１２】
2006101207.tif 000020
【図１３】
2006101207.tif 000021
【図１４】
2006101207.tif 000022
【図１５】
2006101207.tif 000023
【図１６】
2006101207.tif 000024
【図１７】
2006101207.tif 000025